Пошта стиже до сервера без VPN-а: где применити правило

Пошта стално проверава, а VPN је искључен, али се налог и даље синхронизује. Апликација ради оно за шта је конфигурисана; ништа у нормалном поштанском профилу не каже да је сервер доступан само кроз тунел. То оставља два различита захтева и лако их је помешати: услуга треба да одбије директне клијенте, или Mac никада не треба да покуша.

Изаберите захтев пре него што изаберете производ. Правило сервера и правило клијента падају на различитим местима, дају различите доказе и припадају различитим власницима. Примена оба је ваљана када су обе тврдње тачне, али једно није замена за друго. Оба захтева су легитимна; само нису иста контрола.

Симптом изгледа као Mac, али цурење може бити на серверу

Када се пошта синхронизује изван тунела, почните од онога што сервер прихвата. Ако поштански слушалац одговара на директну везу са интернета, ниједна клијентска поставка удобности не мења ту чињеницу. Mac се понаша нормално према услузи која је још отворена.

Питајте поштанског администратора коју изворну адресу услуга види. VPN гејтвеј, обрнути прокси или балансер оптерећења могу превести адресу клијента, па се скуп адреса у VPN конфигурацији можда не поклапа са оним што стиже до поштанског процеса. Правило написано против погрешног извора или блокира све или не блокира никога.

Тај одговор такође каже може ли услуга уопште да разликује VPN клијенте. Ако сваки клијент долази кроз исту прокси адресу, пријем заснован на извору не може да их раздвоји и захтев се мора преместити на аутентификацију или на клијентску страну.

Пријем на серверу: одбијте извор, не апликацију

Хост или мрежни заштитни зид може да ограничи поштански слушалац на одобрене изворне опсеге, остављајући аутентификацију и TLS непромењене. Услов правила који поклапа удаљене адресе, подмреже или опсеге уобичајен је градивни блок; тачна синтакса припада производу заштитног зида сервера, не поштанској апликацији.

То је најјача граница када захтев гласи „услуга не сме да услужује директне клијенте“. Она важи чак и ако корисник инсталира други поштански клијент, јер одбијање долази пре аутентификације. Она такође преживи Mac који игнорише своју VPN политику.

Њена граница је једнако важна. Одбијена веза доказује да је услуга одбила сесију; не доказује да Mac није покушао. DNS разрешење, TCP SYN ка ранијем балансеру оптерећења и поновни покушај након неуспеха могу се сви догодити пре него што се достигне правило сервера. Ако се захтев тиче откривања покушаја, а не приступа, пријем на серверу је само половина контроле.

Спровођење на клијенту: блокирајте покушај, не само тунел

Правило на клијентској страни мора да забрани саобраћај, а не само да покрене тунел када се пошта отвори. Активациони окидач за поштански домен може да подигне VPN у правом тренутку, али не одређује шта се дешава док је тунел оборен или након што не успе.

Користите подржану политику блокирања производа за крајњу тачку и намерно одредите њен обим. Правило на нивоу апликације покрива сваки налог у тој поштанској апликацији, укључујући личне. Правило на нивоу одредишта мора да именује IMAP, крајње тачке слања и аутентификације радног налога и мора да настави да ради када се те адресе промене.

Покрите обе адресне фамилије и постојеће сесије. Политика која блокира нове IPv4 везе, а оставља IPv6 или успостављени сокет на миру, производи испрекидане синхронизације које изгледају случајно. Мрежне промене и циклуси спавања део су истог теста.

Правила на нивоу апликације и одредишта имају различит обим дејства

Блокада на нивоу апликације је једноставна за размишљање: ниједан саобраћај из Поште не излази без тунела. Она је и груба, јер иста апликација може да држи лични налог који нема никакве везе са политиком. Корисници то први примећују и пријављују као покварену поштанску апликацију.

Блокада на нивоу одредишта је ужа и тежа за одржавање. Потребан јој је комплетан скуп крајњих тачака које налог користи, укључујући услуге откривања и аутентификације, и процес за њихово ажурирање. Пропустите једну и налог ради на пола; укључите превише и неповезана пошта стаје.

Изаберите према формулацији захтева. „Овај радни налог не сме да се повезује директно“ указује на обим одредишта. „Овај Mac не сме да води пошту изван VPN-а“ оправдава шире правило апликације, под условом да власник прихвати нежељени ефекат за лични налог.

Тестирајте одбијање и одсуство одвојено

Са наменским тест налогом повежите се кроз VPN и потврдите нормалан рад. Затим се одспојите и тестирајте двапут: једном да видите одбија ли сервер пријаву, и једном да видите покушава ли Mac уопште везу. То су различита запажања и припадају различитим дневницима.

Гледајте доказе на клијентској страни за SYN или DNS упит док сте одспојени и дневник сервера за одбијену или прихваћену сесију. Ако сервер одбија али клијент још покушава, правило сервера ради а правило клијента недостаје. Ако клијент не покушава али сервер још прихвата друге клијенте, граница је тачно тамо где сте је поставили.

Запишите власника спровођења, изворну адресу коју сервер заиста види и коришћени тест налог. Следећа мрежна или прокси промена може да помери тај извор, а белешка која именује запажену вредност проверава се брже од још једне рунде нагађања.